본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일 이후 그대로 둬도 되나

핵심 요약 외국계 한국법인에서 흔한 구조가 두 가지 있습니다. 본사 APAC 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 두는 것과, 그 사람이 본사 라인으로만 보고하는 것입니다. 두 구조 모두 이미 시행 중인 시행령 제32조 제3항 제2호(지정 대상은 사업주·대표자 또는 임원)와 제32조 제6항 제2호(대표자 또는 이사회에 직접 보고할 수 있는 체계)에 어긋날 수 있습니다. 2026년 9월 11일 시행되는 개정법은 여기에 세 가지 과태료를 새로 붙입니다(제75조 제2항 제14호의2·제14호의3·제14호의4, 각 3천만 원 이하). 요건이 새로 생기는 것이 아니라, 제재가 없던 요건에 제재가 붙는 것입니다. 이사회 의결·신고의 대상과 절차를 정할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐고, 대상 기준을 연간 매출액등 1,800억 원 초과 등으로, 신고 기한을 사유 발생일부터 6개월로, 시행 전에 지정한 보호책임자의 신고 기한을 시행일부터 6개월로 정했습니다. 그리고 2026년 KT·롯데카드 제재의 시정명령은 과징금과 별도로 CPO 거버넌스 체계 정비를 요구했고, 롯데카드 결정문에서 위원회는 CPO의 의사결정 기록과 실질 관여를 문답으로 직접 확인했습니다.

한국 진출 5년 차 외국계 법인의 개인정보 처리방침을 열어 보면 보호책임자 이름이 영문으로 적혀 있는 경우가 있습니다. 본사 APAC 리전의 Privacy Officer이고, 한국법인 직함은 없습니다.

지금까지 이 구조가 문제된 적이 없었다면, 그것은 적법해서가 아니라 위반에 붙는 제재가 없었기 때문일 수 있습니다.

본사 프라이버시 총괄을 한국 CPO로 지정해도 되나?

시행령 제32조 제3항 제2호는 공공기관 외의 개인정보처리자에 대해 지정 대상을 두 가지로 한정합니다. 가목이 사업주 또는 대표자이고, 나목이 임원입니다. 임원이 없는 경우에만 개인정보 처리 관련 업무를 담당하는 부서의 장을 지정할 수 있습니다.

여기서 말하는 임원은 지정하는 개인정보처리자, 즉 한국법인의 임원입니다. 본사 소속으로 한국법인 등기임원도 아니고 집행임원도 아닌 사람은 이 세 범주 어디에도 들어가지 않습니다.

이 조항은 2024년 3월 12일부터 시행 중입니다. 9월 개정을 기다릴 사안이 아니라 지금 상태를 점검할 사안입니다.

우리 회사도 경력 요건까지 걸리나?

직위 요건 위에 경력 요건이 한 겹 더 있습니다. 시행령 제32조 제4항은 연간 매출액등이 1,500억 원 이상이면서 민감정보나 고유식별정보를 5만 명 이상 처리하거나 개인정보를 100만 명 이상 처리하는 개인정보처리자에게, 별표 1의 요건을 갖춘 사람을 지정하도록 합니다.

별표 1이 요구하는 것은 개인정보보호·정보보호·정보기술 경력을 합해 4년 이상, 그중 개인정보보호 경력 2년 이상입니다. 같은 기간에 두 업무가 겹치면 하나만 인정되고, 관련 학위는 박사 2년·석사 1년·학사 6개월로 환산됩니다.

한국법인 대표가 영업이나 재무 배경이고 그를 CPO로 올려 둔 회사라면, 매출과 처리 규모가 기준을 넘는 순간 이 요건을 충족하지 못하게 됩니다.

9월 11일부터 무엇이 더해졌나?

현행 제75조 제2항에는 제31조 위반에 대한 과태료가 하나도 없습니다. 개정법이 세 개를 신설합니다.

각 3천만 원 이하이고, 세 호 모두 조문에 "제26조 제8항에 따라 준용되는 경우를 포함한다"가 붙어 있어 업무를 위탁받아 처리하는 회사도 자기 이름으로 같은 의무를 집니다.

이사회 의결과 신고는 개정법 제31조 제3항이 신설한 것으로, 매출액과 보유 규모 등 대통령령 기준에 해당하는 처리자에게만 적용됩니다. 그 기준은 2026년 9월 10일 공포된 시행령 제32조 제3항이 정했습니다.

같은 날 CISO 겸직의 근거 조문도 바뀝니다. 정보통신망법이 인용하던 조항이 2023년부터 업무 조항이 아니었고 개정법 부칙이 이를 바로잡는데, 그때부터 겸직 CISO의 CPO 업무에 예산 확보와 이사회 보고가 명시적으로 들어옵니다 — CISO가 CPO를 겸할 수 있나요에서 다뤘습니다.

시행령이 공포되면서 이 질문 둘에 답이 나왔습니다

이 글은 두 군데에서 대상 기준이 아직 없다고 적어 두었습니다. 입법예고(개인정보보호위원회 공고 제2026-59호)와 2026년 8월 31일 법제처 심사를 거쳐 2026년 9월 10일 대통령령 제36671호로 공포된 시행령이 그 두 지점에 답을 냈습니다. 시행일은 법률과 같은 9월 11일입니다.

첫째, 대상 목록이 하나로 합쳐집니다. 제32조 제3항에 따르면 이사회 의결·신고 의무의 대상은 별표 1의 전문 자격을 갖춘 보호책임자를 지정해야 하는 대상과 같은 목록이고, 그 금액 기준은 연간 매출액등 1,500억 원 이상에서 1,800억 원 초과로 오릅니다. 한국법인이 어느 쪽에 서는지 가늠하려면 매출액 기준선 하나와 처리 규모 요건(5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보)을 같이 봐야 합니다.

연간 매출액이 1,500억 원 이상 1,800억 원 이하인 법인은 지금은 전문 자격 지정 대상이지만 9월 11일부터 그 목록에서 빠집니다. 문턱을 넘는 법인은 반대로 같은 문턱에서 전문 자격 지정과 이사회 의결과 신고를 한꺼번에 지게 됩니다.

둘째, 임원의 범위에 문언이 붙습니다.

제32조 제2항 제2호 나목은 임원에 「상법」 제401조의2 제1항 제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2 제1항에 따른 집행임원을 포함한다고 적습니다. 등기임원 명부만 보고 임원이 없다고 판단해 부서장을 보호책임자로 지정해 둔 한국법인이라면 이 문언을 다시 볼 필요가 있습니다. 상법의 각 조문이 실제로 누구를 가리키는지는 이 글에서 다루지 않으며, 개정안이 그 범위를 인용하고 있다는 사실만 적어 둡니다.

하나 더 있습니다. 신고 기한은 입법예고안과 공포본이 다릅니다. 입법예고안은 신고 의무가 발생한 날부터 1개월 이내였는데, 공포된 제32조 제4항은 지정·변경·해제 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 신고서를 제출하도록 하고, 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부득이한 사유가 있으면 개인정보처리자의 요청에 따라 보호위원회가 1년 범위에서 기한을 연장할 수 있게 했습니다. 정기 이사회 주기를 감안해 늘린 것으로 보입니다. 시간이 넉넉해졌다는 뜻이지만, 뒤에서 이사회 안건 슬롯을 미리 잡아 두라고 적은 이유는 그대로입니다. 의결 없이 지정·변경하면 그 자체로 과태료 대상이고, 신고는 6개월 안에 해야 하기 때문입니다.

2026년 8월 12일 개인정보위 침해요인 평가에서 원안 동의를 받은 개정안은 마이데이터 관련 별건(공고 제2026-77호)이고, 이 개정령은 그 뒤 8월 31일 법제처 심사를 거쳐 9월 10일 공포됐습니다.

이제 이 숫자로 대상 여부를 판정할 수 있습니다. 신고서 서식도 나왔습니다. 제32조 제4항이 서식을 보호위원회 고시에 맡겼고, 시행일인 9월 11일 「개인정보 보호책임자 지정 및 경력 인정에 관한 고시」(개인정보보호위원회고시 제2026-11호)가 제2조와 별지 서식으로 지정·변경·해제신고서를 정했습니다. 개인정보위가 9월 10일 공지한 FAQ에 따르면 신고는 개인정보 포털(www.privacy.go.kr)의 「CPO 신고」 메뉴로 하고, 보호책임자가 다른 사람으로 바뀌면 지정과 해제를 한 신고서에 함께 적습니다. 같은 FAQ는 국내대리인은 신고 대상이 아니고 국내대리인을 지정한 개인정보처리자의 CPO가 신고 대상이라고 답했습니다. 이사회 의결 기록은 신고와 별개로 남겨 두는 편이 낫습니다.

시행으로 무엇이 함께 달라졌는지는 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나에 날짜별로, 조문 이동은 신구조문 대조표에 정리해 두었습니다.

이미 지정해 둔 CPO도 다시 이사회 의결을 받아야 하나?

법률 부칙에는 제31조에 관한 경과조치도 적용례도 없습니다. 부칙 제2조는 제34조를, 제3조는 제64조의2를 다룰 뿐입니다. 문언만 놓고 보면 시행 이후의 지정·변경·해제 행위부터 의결과 신고가 걸립니다.

기존 지정 상태를 어떻게 할 것인지는 시행령 부칙 제2조가 답합니다. 시행 당시 제32조 제3항의 대상 기준에 해당하는 개인정보처리자로서 시행 전에 보호책임자를 지정한 경우, 시행일부터 6개월 이내(2027년 3월 11일까지) 제32조 제4항의 신고서를 보호위원회에 제출해야 합니다. 부칙이 요구하는 것은 신고이고, 기존 지정에 대해 이사회 의결을 다시 거치라는 문언은 없습니다. 개인정보위가 2026년 9월 10일 공지한 FAQ도 이미 지정해 운영 중이면 이사회 의결을 추가로 거칠 필요는 없고, 시행일부터 6개월 안에 신고만 하면 된다고 답했습니다. 신고서 서식은 9월 11일 시행된 고시 제2026-11호의 별지 서식입니다.

외국계 한국법인에서 이 일정이 특히 무거운 이유는 이사회 때문입니다. 지금의 보호책임자를 그대로 두는 회사는 신고만 하면 되지만, 대상 기준을 넘는 회사가 이 기회에 지정을 바꾸거나 본사 소속 인사를 한국법인 임원으로 올리는 경우에는 그 변경이 시행 후의 변경이 되어 이사회 의결이 앞에 붙습니다. 정기 이사회가 분기 단위로 열리고 본사 승인 절차가 앞에 붙는 구조라면, 6개월은 빠듯할 수 있습니다. 지금 결정할 수 있는 것은 이사회 안건 슬롯을 미리 잡아 두는 일입니다.

본사로만 보고하는 라인은 괜찮나?

시행령 제32조 제6항 제2호는 독립성 보장 조치의 하나로, 보호책임자가 보호 계획의 수립·시행과 그 결과에 관하여 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계를 갖추도록 정합니다. 이 역시 현행 조항입니다.

개정법은 같은 내용을 한 단계 올려, 사업주·대표자 및 이사회에 대한 보호 현황 보고를 보호책임자의 법정 업무로 명시합니다(제31조 제4항 제3호). 본사 Global DPO에게만 보고하고 한국법인 대표는 사후에 공유받는 구조는 이 문언과 맞지 않습니다. 같은 항 제2호가 함께 넣은 예산 확보 업무를, 예산 편성 권한이 본사에 있는 한국법인의 보호책임자가 어떻게 이행하는지는 본사가 예산을 쥔 한국법인의 CPO에서 다뤘습니다.

이 항목들이 실제로 문제되는 자리는 평상시가 아니라 사고 조사입니다. 유출 사고가 나면 개인정보위는 안전조치 이행 여부와 함께 보호 체계 전반을 봅니다. 그때 보호책임자가 누구였고 어떤 권한과 보고 라인을 가졌는지가 기록으로 남아 있어야 합니다. 2026년 KT·롯데카드 제재에서 위원회가 시정명령으로 무엇을 요구했고 조사 국면에서 CPO에게 무엇을 물었는지는 아래 절에서 다룹니다. 본사 플레이북과 한국법이 어긋나는 다른 지점들은 본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나에, 사고 인지 후의 시간표는 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리해 두었습니다. 9월 개정의 조문별 변화는 신구조문 대조표에서 볼 수 있습니다.

CPO 지정은 본사 구조가 한국법과 부딪히는 여러 지점 중 하나입니다. 국내대리인 지정과 수탁자 공개를 포함한 아홉 개의 지도는 본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점에 있습니다.

CPO를 형식적으로 두면 어떻게 되나 — 시정명령에 들어가기 시작한 'CPO 거버넌스 정비'

지금까지의 요건은 과태료 3천만 원짜리 문제로 보일 수 있습니다. 그런데 2026년의 두 제재는 형식적인 CPO의 대가가 과태료에서 끝나지 않는다는 것을 보여 줍니다. 과징금은 납부하면 절차가 끝나지만, 시정명령은 KT의 경우 3개월, 롯데카드의 경우 90일 안에 이행 결과를 위원회에 제출해야 합니다. 그리고 이 두 건의 시정명령에는 공통된 요구가 들어 있습니다. CPO 거버넌스 체계를 정비하라는 것입니다.

KT 건은 결정문이 아직 공개되지 않아, 개인정보위의 2026년 7월 30일 보도자료를 기준으로 적습니다. 위원회는 7월 29일 안전조치의무 위반(펨토셀 경유 16,647명 유출, 소액결제 약 2.4억 원 피해)으로 과징금 539억 7,900만 원을 의결하면서, 무선통신망 장비 취약점 점검·접근통제 강화와 함께 "회사 전반의 개인정보 처리 업무에 대해 CPO의 책임과 역할을 명확히 하는 등 거버넌스 체계를 정비할 것"을 명령했습니다. 일부 IT서비스에 한정돼 있던 ISMS-P 인증 범위를 이동통신 네트워크 시스템까지 확대하라는 개선권고도 붙었습니다.

롯데카드 건은 공개 결정문(2026년 3월 11일 의결, 사건번호 2025조일0053-01)이 있습니다. 위원회는 주민등록번호 처리 제한 위반(로그파일 평문 기록, 45만 명 유출)으로 과징금 96억 2,000만 원을 부과하면서, "보호법 준수 전반에 대한 CPO의 책임성과 독립성을 강화하는 등 개인정보 보호 거버넌스 체계를 정비할 것"과 개인정보 처리 관련 내부 검토·의사결정의 체계적 관리 및 준법통제를 시정명령으로 요구했습니다.

조사에서 위원회가 CPO의 무엇을 보는지는 롯데카드 결정문의 각주에 기록돼 있습니다. 조사관은 CPO와 개발 담당자를 상대로 문답을 진행했고, 두 사람은 문제된 로그 정책과 관련한 의사결정 기록이나 검토 이력을 일체 확인할 수 없다고 진술했습니다. 결정문은 "개인정보 처리와 관련한 이력·검토내역 등이 관리되지 않는 등 관련 준법 감시·통제가 미흡한 점"을 '매우 중대한 위반행위' 판단의 고려 요소로 명시했습니다.

CPO의 진술은 위법성 판단에도 쓰였습니다. 약 15년간 개인정보·정보보호 업무를 수행한 CPO가 이전에 근무한 유사·동종 기업들에서 이런 처리 방식을 본 적이 없다고 진술했고, 위원회는 이를 "일반적 관행이 아니다"라는 판단의 근거로 인용했습니다. 과징금 고시도 위반행위의 방법을 판단할 때 CPO 등 보호 조직, 조직적 위반 여부, 대표자·임원의 책임과 관여를 종합 고려한다고 정하고 있습니다. CPO가 답할 수 없는 처리 관행은 그 존재 자체가 감점 요소가 됩니다.

이 글의 질문으로 돌아오면, 본사 라인으로만 보고하는 한국법인 CPO 구조가 사고 국면에서 맞닥뜨리는 것은 "한국법인에서 누가 조사관의 문답에 답하나"라는 문제입니다. 시정명령이 개별 처분으로 요구하던 책임성과 독립성은 9월 11일부터 개정 제31조의 일반 의무(이사회 의결·신고, 이사회 보고, 독립성 보장)가 됩니다. 위원회가 실제로 부과한 과징금·과태료·시정명령은 개인정보위 제재 결정문 전수 DB에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다.

자주 묻는 질문

본사 프라이버시 총괄을 한국법인 CPO로 지정해도 되나요?

그 사람이 한국법인의 사업주·대표자이거나 임원이어야 합니다. 시행령 제32조 제3항 제2호는 공공기관 외의 개인정보처리자가 개인정보 보호책임자를 지정할 때 사업주 또는 대표자, 아니면 임원 중에서 지정하도록 하고, 임원이 없는 경우에만 개인정보 처리 관련 업무를 담당하는 부서의 장을 지정할 수 있게 합니다. 한국법인의 임원이 아닌 본사 직원은 이 범위에 들어가지 않습니다.

경력 요건은 어떤 회사에 걸리나요?

2026년 9월 10일까지는 시행령 제32조 제4항, 9월 11일부터는 개정 시행령(대통령령 제36671호) 제32조 제3항이 정한 기준에 해당할 때입니다. 민간 기업의 금액 기준은 연간 매출액등 1,500억 원 이상에서 1,800억 원 초과로 오르고, 여기에 민감정보 또는 고유식별정보를 5만 명 이상 처리하거나 개인정보를 100만 명 이상 처리한다는 요건이 함께 걸립니다. 이때는 별표 1에 따라 개인정보보호·정보보호·정보기술 경력을 합해 4년 이상, 그중 개인정보보호 경력을 2년 이상 가진 사람을 지정해야 합니다. 개정 시행령은 같은 목록을 이사회 의결·신고 대상으로도 삼습니다. 금액 문턱이 오르므로 매출이 1,500억 원대인 법인은 9월 11일부터 이 목록에서 빠집니다.

이미 지정해 둔 CPO도 9월 11일에 맞춰 다시 이사회 의결을 받아야 하나요?

법률 부칙에는 제31조에 관한 경과조치나 적용례가 없습니다. 대신 2026년 9월 10일 공포된 시행령(대통령령 제36671호) 부칙 제2조가 답합니다. 시행 당시 대상 기준에 해당하는 개인정보처리자가 시행 전에 지정해 둔 보호책임자는 시행일부터 6개월 이내, 즉 2027년 3월 11일까지 보호위원회에 신고해야 합니다. 부칙이 요구하는 것은 신고이고, 기존 지정에 대해 이사회 의결을 다시 거치라는 문언은 없습니다. 다만 신고서 서식을 정할 보호위원회 고시는 2026년 9월 10일 현재 나오지 않았습니다.

유출 사고 조사에 대비해 CPO 관점에서 지금 무엇을 준비해야 하나요?

롯데카드 결정문에서 위원회는 CPO 문답을 통해 문제된 처리 방식에 관한 의사결정 기록과 검토 이력을 확인하려 했고, 그것이 전혀 없다는 점을 '준법 감시·통제 미흡’으로 중대성 판단에 반영했습니다. 개인정보 처리와 관련한 내부 검토·의사결정을 기록으로 남기고, CPO가 그 이력을 확인하고 설명할 수 있는 체계를 갖추는 것이 출발점입니다.

개인정보 보호책임자 지정 외에 같은 날 함께 걸린 의무들은 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나에 날짜별로 묶여 있습니다.

참고 자료

• 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제31조 제1항·제2항·제9항, 제75조 제2항
• 개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포, 2026년 9월 11일 시행) 제31조 제3항·제4항·제10항, 제75조 제2항 제14호의2·제14호의3·제14호의4, 부칙 제1조부터 제4조까지
• 개인정보 보호법 시행령(현행, 대통령령 제36121호) 제32조 제1항·제3항·제4항·제6항
• 개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 10. 공포, 2026. 9. 11. 시행) 제32조 제2항·제3항·제4항, 제62조 제3항 제8호의2, 부칙 제1조·제2조
• 개인정보 보호법 시행령 별표 1 「개인정보 보호책임자의 자격(제32조제4항 관련)」(2024년 3월 12일 신설)
• 개인정보 보호법 시행령 일부개정령안 입법예고(개인정보보호위원회 공고 제2026-59호, 2026. 6. 2. ~ 7. 13.) — 법제처 입법예고. 첨부된 법령안 전문에서 제32조의 개정 문언을 확인했습니다
• 개인정보 보호법 시행령 일부개정령안 — 정부입법현황 — 국민참여입법센터. 입법예고안·법제처 심사본과 공포본의 제32조 제2항부터 제4항까지, 부칙 제2조를 대조했습니다
• 개인정보보호위원회 제2소위원회 의결 제2026-215-321호(2026. 8. 12.) 「개인정보 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건 — 개인정보위 위원회 결정문. 주문은 개인정보보호위원회공고 제2026-77호 개정안에 대한 원안 동의입니다
• 개인정보보호위원회 공고 제2026-77호(2026. 6. 30. 관보 게재) 「개인정보 보호법 시행령」 일부개정령안 입법예고 — 제3자 전송요구 대상 분야를 고용·교육으로 확대하는 등 마이데이터 관련 개정안입니다. 위 의결의 대상이며, 공고 제2026-59호 개정안과는 별건입니다
• 개인정보 보호법 시행령 제30조의8(개인정보 보호책임자의 업무 수행 보장 등)
• 개인정보보호위원회 보도자료 「KT 침해사고 관련 제재」(2026. 7. 30.) — 결정문 미공개로 보도자료를 근거로 서술했습니다
• 개인정보보호위원회 의결(2026. 3. 11., 사건번호 2025조일0053-01) — 롯데카드, 과징금 96억 2,000만 원·시정명령. 결정문 전문 기준
• 이 글의 시행령 관련 서술은 2026년 9월 10일 공포된 대통령령 제36671호 기준입니다. 보호책임자 신고서 서식은 2026년 9월 11일 시행된 개인정보보호위원회고시 제2026-11호(전자관보 게재본)와 개인정보위 공지 「개인정보 보호책임자 지정 신고 관련 주요 FAQ」(2026. 9. 10.)로 확인했습니다

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.